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آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


فناوری اطلاعات و ارتباطات با ظهور و رشد سریع و در عین حال نامتوازن خود 
هم‌زمان با فراهم آوردن زمینه رشد و تعالی جامعه بشری بستری مهیا جهت 
ورود آسیب‌های جدی و خطرناک به جامعه بهره‌بردار را نیز تدارک دیده است که 
دقت و تدبیر در این موضوع ضرورت تلاش در راسستای کسب مصونیت در مقابل 
این تهدیدات را در راستای حفظ امنیت ملی و حریم خصوصی شهروندان یک 
جامعه. دوچندان می کند. 

فضای مجازی و در یک کلام بستر وب به عنوان مهمترین فضای ارتباطی 
شهروندان یک جامعه اطلاعاتی با یکدیگر و با دولت شناخته شده و یک وبگاه 
اصلی ترین دروازه این فضای ارتباطی قلمداد می گردد. 

علیرغم ارزیابی و کنترل مداوم بر روی وبگاه‌ها و فضای مجازی مورد استفاده 
این فضا همچون سایر جوامع انسانی در معرض تهدیدها و مخاطرات جدی قرار 
دارد. از نفوذ داده‌های مخرب گرفته تا تخریب داده‌های سالم و از هم گسیختگی 
نظام شبکه داده و... همه و همه در گرو اهمیت دادن به موضوع آمنیت اطلاعات 
در شبکه داده‌هاست. 

موضوع امنیت فناوری اطلاعات و اتخاذ سیاست‌های دولتی در این عرصه 
نقش بسیار مهمی را در حوزه‌های مختلف سیاست گذاری و اجرا در کشور ایفا 
می‌نماید. به طور مشخص نقش سازمان‌ها و نهادهای مسئول در این حوزه در 
راستای آگاهی بخشی و تأمین امنیت همه کاربران فضای مجازی نقشی بسیار 
مهم و حیاتی است. آنچه در این مسیر ضروری به نظر می رسد عبارت است از 


۹ 


دبیر خانة شورای عالی اطلاع‌رسانی 


مد نظر قرار دادن مواردی همچون آگاهی بخشی عمومی. آموزش, توسعه منابع 
انسانی و مشارکت بخش‌های عمومی و خصوصی. _ ۲ 

در همین راستا و با عنایت به نیاز و ضرورت تامین ات ویگاه‌هاء خصوصا 
وبگاه‌های دولتی و9 حاکمیتی. دبیرخانه س رای عالی اطلاع‌رسانی در سک ۳ 
در فرایند ارزیابی وبگاه‌های دستگاه های دولتی و حاکمیتی به مقوله امنیت 
توجه بیشتری معطوف دارد و در راستای رسالت کاری خود بستر اطلاع‌رسانی و 
فرهنگ‌سازی لازم را جهت ارتقای دانش عمومی و تخصصی لازم در امن‌سازی 
وبگاه‌ها بکار حون 

متن پیش رو ترجمه‌ای مختصر از نکات قابل توجه در موضوع امنیت 
فضای مجازی است که به همت عزیزان فعال در این دبیرخانه انجام و با هدف 
فرهنگ‌سازی در زمینه تأمين امنیت فضای تبادل اطلاعات در محیط مجازی 
همزمان با برگزاری سومین دوره ارزیابی وبگاه‌های حاکمیتی توسط دبیرخانه 
شورای عالی اطلاع‌رسانی چاپ و منتشر گردید. 

امید که داننشگاهیان. متخصصان بخش خصوصی و دیگر ارباب نظر و بهره 
برداران حوزه خدمات دولت الکترونیک با ارایه نظرات اصلاحی و پیشنهاد های 
سازنده خود ما در مسیر نیل به این مهم یاری رسانند. 


دکتر حمید شهریاری 
دبیر شورای عالی اطلاع رسانی 


۱۰ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


امروزه فضای مجازی تبدیل به یک محیط متشکل از زیرساخت‌های دیجیتال 
پیچیده و در هم تنیده شده است که گاهی نمی‌توان مرز روشنی بین آن‌ها تعیین 
نمود. در همین راستا هرگاه سخن از موضوع امنیت در فضای مجازی به میان 
می‌آید. مرز مشخصی برای آن نمی‌توان قاتل شد و ابعاد گوناگونی مانند امنیت در 
لایه‌های فیزیکی, داده. شبکه. نرم‌افزار و... مطرح خواهد شد که هر کدام نیازمند 
توجهات خاص خود بوده و بسیار به هم وابسته می‌باشد. 

یکی از مهم‌ترین ابعاد امنیت. امنیت نرم‌افزار و به‌ویژه برنامه‌های کاربردی 
مبتنی بر وب می‌باشد. چرا که اين نرم‌افزارها نقش واسط ارتباطی بین سازمان و 
کاربران بیرونی را داشسته و به عنوان یک نقطه ورودی بسیار مناسب برای هکرها 
به شمار می‌روند و به همین دلیل بنابر آمار در بیشتر حملات صورت پذیرفته 
انجام موفقیت‌آمیز حملات ایفا کرده است. 

این در حالیست که امروزه نرم‌افزارهای ناامن. بستر عملیاتی مهم بسیاری 
از زیرساخت‌های حیاتی کشورها مانند دفاع. انرژی مالی» بهداشت و دیگر 
زیرساخت‌ها ر تشکیل داده اند و9 همانطور که نقش وب گاه‌های دستگاه‌های 
حاکمیتی در راستای اراته خدمات دولت الکترونیک پر رنگ تر می‌شود. اهمیت 
توجه به امنیت آن سامانه‌های کاربردی نیز به طرز چشم گیری افزایش می‌یابد. 

هدف اصلی این کتاب افزايش آگاهی در مورد امنیت برنامه‌های کاربردی 
سازمان‌ها راو دارد. محقق می‌ش‌ود. این تال برگرفته از کزارش پروژه 
0 10۳ 0۷/۸۹۲ می‌باشد که مورد ارجاع بسیاری از کتب. ابزارهاء سازمان‌ها 
و استانداردها مانند 18۸,۳76 ,۳01155 ,1۷1158 قرار گرفته است. این گزارش 
نخستین بار در سال ۰۳ ۰ منتشر و پس ار در سال‌های ۰۴ ۰« ۰۷ 9۰ 


۱۱ 


دبیر خانة شورای عالی اطلاع‌رسانی 


۰ به روز رسانی شده است. 
این کتاب برای سازمان‌ها مشوقی خواهد بود تا فعالیت خود را در زمینه امنیت 
برنامه‌های کاربردی آغاز کنند. همچنین می‌تواند مدیران اجرایی سازمان‌ها را به 
تفکر در خصوص چگونگی مدیریت مخاطرات نرم‌افزارها و برنامه‌های کاربردی 
تحت وب سازمان خود وا دارد. 
در این کتاب فهرستی ده‌تائی از مهم ترین مخاطرات آمنیتی برنامه‌های کاربردی 
تحت وب و راه‌هاتی برای ارزیابی آزها معرفی شده است. علاوه بر این برای هر ده 
مورد در خصوص پارامترهای احتم‌ال و اثر وقوع مخاطرات جهت طبقه بندی هر 
مورد بر اساس میزان شاخص ریسک. سپس روش‌های بررسی و کشف آن مخاطرات 
در برنامه‌های کاربردیء راهکارهای کنترلی کاهش مخاطرات به همراه نمونه‌هاتی از 
[ بخش و معرفی منابع اطلاعاتی بیشتره» ارائه مطلب شده است 
و مدیران سازمان‌ها در مورد عواقب ناشی از نقاط ضعف امنیتی در برنامه‌های 
کاربردی تحت وب می‌باشد و روش‌های سدده‌ای ر برای حفاظت در مقابل این 
همچنین در این اکتات سعی ان ااسست فا 1 واژگان فارسی برای جایگزینی 
کلمات بیگانه استفاده گردد تا گامی هر چند کوچک در پاسداشت خط و زبان 
فارسی برداشته باشیم. 
امید است بتوانیم با نشر مطالبی از این دست. کمکی اند ک به بهبود آمنیت 
وبگاه‌های دستگاه‌های حاکمیتی کشور و دیگر ارائه کنندگان خدمات الکترونیک 
در بستر وب نماییم. ۱ 
علی سوزنگر 
سید روح الّه سجادی 


۱۳ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


درباره 0۷۷۵۵ 


۲۳ انجمنی آزاد است که سازمان‌ها را در زمینه پدیدآوری. نگه‌داری و 
خرید برنامه‌های کاربردی! قابل اطمینان و امن توان‌مند می‌سازد. در 0۷۷۵۵۴۲ 
موارد زیر را می توان رایگان دریافت کرد: 

* استانداردها و ابزارهای مرتبط با امنیت برنامه‌های کاربردی 

؟ اسناد کاملی در مورد امنیت‌آزمایی برنامه‌های کاربردی. پدیدآوری کدهای 
ایمن. بازبینی امنیت کدها 

* کتابخانه‌ها و کنترل‌های امنیتی استانداره 

تمامی ابزارهاء اسناد. گروه‌های هم‌اندیشی. انجمن‌ها و بخش‌های موجود در 
۲ به صورت رایگان در اختیار کسانی است که به بهکرد امنیت برنامه‌های 
کاربردی علاقه‌مند هستند. موثرترین روش‌ها در زمینه امنیست برنامه‌های 
کاربردی» شامل بهبود در تمامی موارد مرتبط با کاربران» فرایندهاء مشکلات 
فناوری و... است. لذا 0۷۷۸۹۳ روش‌های خود را با درنظرگرفتن تمامی این موارد 
ارائه میی کند. 

فعالیت این انجمن به صورت مستقل. این امکان را فراهم می‌سازد تا به دور از 
دغدغه‌های مالی و تجاریء اطلاعاتی را در مورد امنیت برنامه‌های کاربردی تولید 
کرد که بی‌طرفانه. عملی و مقرون به صرفه باشد. این انجمن از برخی فناوری‌های 
آمنیتی استفاده می کنده اما به هیچ شرکت تولیة کنده‌ای وایستگی مالی و فخازی 
ندارد و همانند ببسیاری از پروژه‌های نرم افزاری متن باز. انواع مختلفی از ابزارها 
را به صورت رایگان و متن باز تولید می‌کند. 


مخاطرات امنیتی برنامه‌های کاربردی ": 
مخاطرات امنیتی برنامه‌ها چیست؟ 


مهاجمان مسیرها و روش‌ه ای مختلفی را ببه کار می گیرند تااز طریق 
برنامه‌های کاربردی به سازمان يا کسب وکاری آسیب وارد کنند. هریک از این 


مسیرها نشان دهنده خطر بزرگی است که می‌تواند دلیل کافی برای توجه ویژه 
به آن باشد. 


عاونک ب«ازبهعه صمناهه/2.۸۵0۵ ۸۵05 1 
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دبیر خانة شورای عالی اطلاع‌رسانی 


اثر تجاری آثر فنی کنترل امنیتی آسیب‌پذیری بردار حمله مهاجم 


2 22 


9 


گاهی این مسیرها توسط مهاجمان به راحتی کشف و برای حمله نفوذی 
مورد استفاده قرار می گیرند اما برخی از آن‌ها به شدت پیچیده و مشکل هستند. 
برای محاسبه شاخص مخاطرات وارد بر سازمان» ارزیابی احتمال وقوع تهدید. 
بردار حمله و تعیین آسیب‌پذیری‌های امنیتی به همراه تاثیر فنی و تجاری آن بر 
سازمان ضروری است. 


مخاطرات مهم: 


در این بخضش مخاطرات جدی امنیتی برای طیف وسیعی از سازمان‌ها 
شناسائی شده است و برای هر کدام از این مخاطرات. اطلاعات عمومی در مورد 
اختمال وقوع و تافیرات فتی آن‌هاء مطایق شسکل ویو بیان شنده است. طرعم سادة 
زير بر اساس روش رتبه بندی مخاطرات ۷۷۵۸۹۳ تهیه شده است. 


به هرحال هر سازمان با ویژگی‌های خاص محیط وکسب و کار خود بیش‌تر 
آشنا است. اما برای هر برنامه کاربردی عوامل تهدیدزای خاصی وجود دارد که می 
تواند منجر به حملاتی شود. بنابراین هر سازمان باید مخاطرات مربوط به کسب و 
کار خود را با توجه ویژه به عوامل تهدیدزاء کنترل‌های امنیتی پیاده‌سازی شده و 
تاثی گذار آ‌ها قر عسافل تجار ی وزمالی سازمان شتاساقی. کند: 


0 و۴۵۱۱ و۳۴ 0۱۷۷۸۵۸8۳۲ .1 
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آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


ده مخاطره مهم در مورد امنیت برنامه‌های کاربردی - 2010 0۷۷۸۵6۳ 


خطر تزریق(مانندتزریق 501.05 و 1۳۸۳) زمانی رخ می‌دهد که 
داده‌های نامطمئن ! به عنوان بخشی از یک دستور یا پرسمان " به یک 
مفسر" ارسال شود. داده‌های مهاجمان. مفسر را به اجرای دستورات 
ناخواسته و پا دسترسی به اطلاعات غیر مجاز وادار می کند. 


1 


این خطر زمانی رخ می دهد که برنامه کاربردی داده‌های نامطمئن 
و غیرامنی را به کارگیرد و آن را بدون اعتبارسنجی مناسب به یک 
مرور گر وب بفرستد. 2585 به مهاجمان اجازه اجرای پردازه را در 
مرورگر قربانی مورد نظر می دهد که اين می تواند باعث سرقت 
نشست؟ ارتباطی کاربر, رخنه گری در وبگاه یا تغییر مسیر کاربر 
به وبگاه‌های مخرب شود. 


در بیش تر مواقع بخشی از عملیات برنامه‌های کاربردی که به 
اصالت سنجی و مدیریت نشست ارتباطی مر تبط است. به طرز 
صحیحی پیاده سازی نمی‌شود. این مسئله به مهاجمان اجازه حمله 
به گذرواژه‌هاء نشان‌واره* و به کار گیری هویت سایرین را می‌دهد. 


3 


این خطر زمانسی رخ می‌دهد که برنامه نویس به مواردی نظیر فایل؛ 
دایر کتوری با پایگاه داده ارجاع می دهد. بدون وجود کنترل 
دسترسی يا حفاظت‌های دیگر. مهاجمان می توانند با دستکاری این 
مراجع برای دسترسی به داده‌های غیر مجاز استفاده کنند. 


۹4 


حملات 05۳37 مرور گر را وادار به ارسال درخواست جعلی ۲111۳ 
شامل ردنما" نشست قربانی و دیگر اطلاعات هویتی به برنامه‌های 
کاربردی تحت وب آسیب‌پذیر می کند. این خطر به مهاجمان اجازه 
می‌دهد که مرورگر قربانی را مجبور به ارسال درخواست کند و 
برنامه کاربردی آسیب پذیر نیز فکر می‌کند که در حال دریافت 
درخواست‌های قانونی از طرف قربانی است. 


5 


برای تامین امنیت. نیازمند تنظیمات دقیق امنیتی برای برنامه‌های 
کاربردی. چارچوب‌ها. خدمات‌دهنده‌های وب , خدمات‌دهنده نرم 
افزار و کارپایه‌ها و... هستیم. لازم است تا تمامی این تنظیمات به 
درستی تعریف. اجرا و نگه‌داری شود زیرا بسیاری از تنظیمات پیش 
فرض به اندازه کافی ایمن نیستند. 


6 


اوت وله وت زو ۰ ۷ .2 23 ۱۱۲۲۱۷۹۱۵0 .1 
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دبیرخانة شورای عالی اطلاع‌رسانی 


۱۵99 .3 و9طاوز۲۳ .2 1 


آشنایی با بالاترین 
مخاطرات ۱ ود ۰ 
وباه‌ها 


۱۸ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۸1 
تزریق ! 


آبا نسبت به تزریق آسیب پذیر هستید؟ 


بهترین راه برای فهمیدن آسیب پذیری یک برنامه نسبت به تزریق » اطمینان حاصل 
کرفت از این موضوع اسث گذتفس‌ها قواتاین تمه داه‌های غیر قایل اطان « 
دستورات و پرسمان‌ها را دارند. این موضوع در ب500» به معنی استفاده از متغیرهای 
محدود و مشخص در تمامی روال‌های از پیش تعریف شده و اجتناب از به کارگیری 
راهطا پا سیف 

بازبینی کردن کد برنامه روش سریع و دقیقی برای فهمیدن این موضوع 
انسست که با پزتانه‌ها امفتت ها بهظور امق انشفاهه می کشد با خیر؟ انزار هاق 
تحلیل کد نیز می تواند به تحلیلگر امنیتی کمک کند تا اطلاعاتی درمورد نحوه 
به کارگیری مفسرها و ردیابی جریان داده‌ها از طریق نرم افزار به دست آورد. 
همچنین آزمون نفوذ دستی نیز می تواند صحت آسیب پذیری‌های کشف شده 
را تاگین گند. 

پویش گری خودکار پویا که برای آزمون برنامه‌های کاربردی استفاده 
می شود نیز می‌تواند برخی مشکلات موجود در زمینه تزریق‌ها را آشکار 
سازد. البته پویشگرها هميشه نمی توانند به مفسرها دسترسی پیدا کنند 
کاشی هر تشخ این کف | با ماه موفیت امد وه تشک 
دارند. 


برای جلوگیری از تزریق چه باید کرد؟ 
حاه‌گیزی از فرریق‌ها مسطلرم این است گه‌داهه‌های غیر امین از پرسسان‌ها ممایز 


شود. 
۱. یک گزینه مناسب استفاده از ۸۳1 امن است که از استفاده مفسرها به طور 


کامل جلوگیری کرده یا یک رابط کاربری پارامتری را آماده می سازد. نسبت به 
استفاده از ا[4هافی مانند روال‌های ذخیره‌سازی که به صورت پارامتری ظاهر 
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داشت. 

۲ درصورتی که ۸51 پارامتری در دسترس نباشد. باید با دقت تمام استفاده 
از نویسه‌های خاص را که برای مفسرها معانی خاصی دارند. محدود کرد. برای 
اطلاعات بیش‌تر می توان به 15۸1 ۰" 0۱۷۸۹۳ اشاره کرد. 

۲ اعتبارسنجی مثبت داده‌ها با رمز گشایی 9 پالایه گذاری! مناسب ورودی 
نیست زیرا بسیاری از برنامه‌های کاربردی به نویسه‌های خاص در ورودی خود 
نیاز دارند. 


مثالی از سناریوی حمله: 
برنامه از داده‌های غیر قابل اطمینان در ساخت پرسمان زير استفاده می کند: 
۹ رهم26 ۳۶۹۵۱۲ * آناظه» < من عصتاه 
««« («00»)عتمصهتدگاوع.)عمناوع: + «حباآافته 
مهاجم پارامتر «161 را در مرورگر خود تغییر داده و 01۱ ۱-۱ را ارسال 
می کند. 
این موضوع می‌تواند باعث تغییر معنی پرسمان به «بازگرداندن تمامی 
رکوردها از پایگاه داده» به جای درخواست اطلاعات مشتری خواسته شده باشد. 
1ج« ۵۲ ۰۱10 20۵/266096۷۱ /0600 .۵0۱6 (۵//:ماظ 
در بدترین حالت. مهاجم با استفاده از این ضعف امنیتی. اجازه تصاحب تمام 
اطلاعات موجود در پایگاه داده را می‌یابد. 
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۸۳2 
پردازه گذاری فرا- وبگاهی ! 


آیا نسبت به ۸555 آسیب پذیر هستید؟ 
باید اطمینان حاصل کرد که اطلاعات وارد شده توسط کاربران که به مرور گر 
با زگردانده می‌شود. امن هستند (از طریق اعتبار سنجی ورودی). رمز گذاری 
مناسب خروجی این اطمینان را می دهد که با داده‌های وارد شده به عنوان متن 
و نه محتوای قابل اجرا برخورد شود. 
پیدا کنند. اگرچه هر برنامه کاربردی» صفحات خروجی را به طور متفاوتی ایجاد 
می‌کند و از مفسرهای متفاوت سمت مرور گر نظیر »۴12511 2725011۳1011۷762[ 
1111 استفاده می‌کند که این خود تشخیص خودکار را با مشکل می سازد. 
نابراین» کشف کامل این موضوع نیازمند به کارگیری ترکیبی از بررسی دستی 
فناوری‌های وب ۲ مانند ۸(۸۸ شناسائی ۸85ها را از طریق ابزارهای خود کار 
بسیار پیچیده تر می‌سازد. 


برای جلوگیری از 2555 چه باید کرد؟ 
جلوگیری از 555ها نیازمند جداسازی داده‌های غیرامن از محتوای فعال مرورگرها 
است. 

۱.یک گزینه مناسب حذف تمام مکان‌های ورود داده مبتنی بر ,1112۷11 توسط 
برنامه نویس است مانند بل7۳] 0۲ ,055 ,2۷72501101 ,21016 ,90 

۲ اعتبارسنجی مثبت داده‌ها با رمز گشایی و پالایه گذاری مناسب ورودی به 
متخ ربا 205 کیکمی کنه مایم سک سخافظت کامال یی ان ۳98 
نیست زیرا بسیاری از برنامه‌های کاربردی به نویسه‌های خاص در ورودی خود نیاز 
دارند. در اعتبارسنجی باید تا حد ممکن ورودی‌های رمزنگاری شده را رمز گشاتی 


(89) وطام50 516 0۲095 .1 


عضو ۲۳6 6 
جه مت کم 69 ۱ 
کرو سک گم 
0 
سس کت 
سوم لس ره 


ی که اضر 
مجمس سس يئو 6 
٩۱5 ۳‏ 
سیم سس کم (کبینی 
رصح وزسس‌حلرم 


تج کچ مور کر ۶ و 

ی 0ص کیهر» با 9 کمخت نز صتعس پر 
40 85 

٩ 0‏ 091618 [(09120[10 ۶۱۳۶۰ > ]و8 
۳۲ > را ی سک 6 کنکم دا 
وم صم ی ۳6۵ ۱ وک و کرک 
سک ۳۲۰ مرچ چگ 2) کر ؟ 
جح مر .جر ی و سب( ۲ 6سد 6 
کنر ووو کج یر 0 ها کرک پروو 


6 
خیم وربور ۵+ 
3۳۵۵ ۱۵و 
مس »مس چمهسمم 
:۳ متسیس تیم 
رگید لشاند تسیا 2 
و کی وک 
پچ مساو سم 
60 مس هسوک مر 
کر و 
نکم ویتکا 
وک اکسس سوه 


9 

جک جک مق 
رو صسعم 9و 
و که 


۶ که ۱۳۲۲۶ 


دبیر خانةٌ شورای عالی اطلاع‌رسانی 


۳۳ 


۳۴ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


کرد و قبل از پذیرش هرگونه ورودی طول,. نویسه‌هاء قالب و هر قاعده" مرتبط با 


آن داده را اعتبار سنجی نماید. 


مثال از سناریوی حمله: 
برنامه از داده‌های غیر قابل اطمینان و بدون اعتبارسنجی در ساخت قطعه ,1۲111۷1 
زیر استفاده می کند: 


اهوم 0تدمان0عه حممصهط آنامرم>۲ ۲ مع2 (عط501) 
۶ + (۰0/0)تماممصوتدگاوع )۲600۵5 + "حمیااه ۷ 


مهاجمان از پارامتر ۹02 در مرورگر خود استفاده می کنند. 


<1002110.)صمحصتان 00 0۲10و >< 
7 00/2 م۵ ۱۵۰/۱۳۷۱۷۲ 
او /کعنا00ه.اصمصصیاع ۰/0 ۲+ 


این کار باعث می شود که شناسه نشست کاربر قربانی به وبگاه مهاجم 
ارسال شده و به او اجازه ربودن نشست جاری کاربر را بدهد. توجه داشته باشید 
که مهاجم می تواند با استفاده از 2555 از مقابل هرگونه دفاع 0288 که برنامه از 


آن استفاده می کند نیز عبور کت برای اطلاعات بیش تر در مورد 51۳ به ۸5 
رجوع کنید. 
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۸2۳3 
مدیریت نشست و اصالت‌سنجی فروشکسته! 


اولین مواردی که نیاز به حفاظت دارد گذرواژه کاربران 9 تانب تشتیت: است: 

۱. آیا گذرواژه‌ها ء شناسه نشست و سایر مجوزها تنها از طریق ارتباطات ص1" 
ارسال می شود؟ (برای توضیح بیش‌تر ۸۵10 را مشاهده کنید) 

۲ آیامجوزهابه صورت رمزگذاری شده ذخیره می‌شوند ؟(برای توضیح 
بیش‌تر ۵9 را مشاهده کنید) 

آیا به علت عملکرد ضعیف مدیربت حساب‌های کاربران. گذرواژه‌ها وضع 
توانی حدسء تغییر یا بزیابی کرد؟ 

۵ آبا شناسه نت ت‌ها دارای انقضاء زمانی بوده و کاربسر می‌تواند 00 102 
کند؟ 


برای جلوگیری چه باید کرد؟ 
مهم‌ترین پیشنهاد به سازمان‌ها این است که برای برنامه نوبسان» مجموعه ای از 
کنترل‌ها جهت مدیریت اصالت‌سنجی و مدیریت نشست‌ها فراهم سازند. 

۱. کنترل‌هاباید به گونه ای باشد که تمام نیازمندی‌های مربوط به 


مشخص شده است. 

۲ کنترل‌ها باید دارای رابط کاربری ساده برای برنامه نویسان باشد. برای 
اطلاعات بیش تر به ]۸۳ 56۲ 200 ۸۱۵۵/۵۵/0۲ 15۸۵۲1 رجوع کنید. 

۴ تلاش‌های زبادی باید برای جلوگیری از خطرات 2655 که سبب سرقت 
شناسه نشست‌ها می‌شود. صورت گیرد. 
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مثال از سناریوی حمله: 


سناریو اول: برنامه رزرو خطوط هواپیمائی. از بازنویسی (1 پشستیبانی 
می‌کند. با قرار دادن شناسه نشست در بلکانا: 


5655101101 [وططه) 5216/5216 /600 :۵16 //:۸0ظ 
069۳1 ۷ [۲2/] ۳۹1۳۲0 ,](۶۲۱۷]000۵5(۲۲ 2۳00۵021۲۳ 


یک کاربر مجاز این سامانه می‌خواهد که دوست خود را از فروش آگاه کند 
بنابراین پیونده بالا را برای دوست خود ارسال می کند. بدون اطلاع از این که 
شناسه نشست خود را نیز ارسال کرده است. کسی که از این پیونده استفاده 
می‌کند. می‌تواند از نشسست و اطلاعات کارت اعتباری قربانی نیز استفاده کند. 

سناریو دوم: وقتی که مدت انقضاء زمانی برنامه به درستی تنظیم نشده باشد 
و کاربر از رایانه‌های عمومی استفاده کند. به جای استفاده از کلید خروج به 
سادگی پنجره مرورگر را می بندد. مهاجمان با استفاده از مرورگر مشابه به حساب 
کاربری که هنوز معتبر است دسترسی پیدا می‌کند. 

سناریو سوم: در وبگاه از پروتکل‌های رمزنگاری 11/ ,551 برای تمام ترافیک 
استفاده نشده است. همسایه ترافیک بی سیم کاربر را شنود کرده و رمز عبور و 
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۳4 
ارجاعات شی‌واره‌ای مستقیم ناامن ! 


بهترین راه برای فهمیدن آسیب پذیری یک برنامه کاربردی در اين زمینه. بررسی 
این موضوع است که آیا تمام ارجاع‌ها از دفاع مناسب برخوردار هستند یا خیر. به 
موارد زیر توجه کنید: 

۱. برای ارجاع مستقیم به منابع حفاظت شده برنامه نیاز به اعتباردهی کاربر 
جهت دسترسی به منابع مورد درخواست را دارد. 

۲ اگر ارجاع به صورت ارجاع غیر مستقیم است. نگاشت به ارجاع مستقیم؟ 
باید محدود به مقادیری باشد که برای کاربر جاری مجاز است. 

بازبینی کد می‌تواند به راحتی مشخص کند که آیا کد امن است يا خیر. 
آزمون دستی نیز برای تعیین ارجاعات مستفیم به شی‌واره‌ها 9 میزان امنیت 
آن‌ها اثربخش است. ابزارهای خود کار معمولا برای چنین اسیب پذیری جستجو 
نمی کنند چون نمی توانند تشخیص دهند که چه شی‌واره‌ای به حفاظت نیاز 
دارد. 


برای جلوگیری چه باید کرد؟ 

۱ استفاده از ارجاع غیر مستقیم به شی‌واره: با این کار می‌توان از دسترسی 
مستقیم مهاجمان به منابع غیر مجاز جلوگیری کرد. برای مثال در یک فهرست" 
شش تائّی از منابع می‌توان به جای استفاده از کلید اصلی پایگاه داده. از اعداد یک 
تا شش برای مشخص کردن داده‌ی انتخاب شده توسط کاربر استفاده کرد. برنامه 
کاربردی باید نگاشتی بین ارجاع‌های غیرمستقیم هر کاربر را با کلید اصلی پایگاه 
داده انجام دهد. 0۷۷۵۹۳۹5۸۴1 شامل هر دو نگاشت ارجاع دسترسی متوالی 


5 000 ۱۱۲۵۵۲ ۱۱960۱۷۲6 .1 
6 0۱۳90 ۱۱۶ ۱۵ ۱۷200۵109 .2 
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دبیر خانةٌ شورای عالی اطلاع‌رسانی 


۳۱ 


۳۲ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


و تصادفی به منابع است که برنامه نویسان می‌توانند برای حذف ارجاع مستقیم 
به شی‌واره‌ها از آن‌ها استفاده کنند. 

۲. کنترل دسترسی: برای هرگونه استفاده از ارجاع مستقیم به شی‌واره‌ها از 
منابع غیرمطمئن باید کنترل دسترسیء جهت اطمینان از این موضوع که کاربر 
مجاز به دسترسی به منابع مورد تقاضا است . انجام شود. 


مثال از سناریوی حمله: 
برنامه اطلاعات نامطمتن در 021 ,500 که به اطلاعات حساب‌ها دسترسی 
دارد استفاده می کند: 


5 2 2060۱ ۷۷۳۲۱۳۴۲۴ و200 ۳۴۵۸۲ * 9۳۴۱۳0۲" < متام عطلاه 
اما وم اطع 2) ۳۲۵۵2۲006 

( .. 061۳۷ 0))اصم ماما کم ته متس طمنا0مصطمع 

ز((۲2601) امه تومامع ۲۵0۲۵51 با عصتتاکگاهو تاو 

:() 0061۷ متام ,]او > وااناومتاهکااناعی؟] 


مهاجم به راحتی با تغییر پارامتر «2001» در مرورگر خود اقدام به ارسال هر 
شماره حساب کاربری که بخواهد. می کند. در صورت عدم اعتبارسنجی می‌تواند 


-< ]7200 00180/200/2660۱9111010 :۵0016 ۵// :ما 
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۳۴ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۳5 
جعل درخواست فرا- وبگاهی! 


آیا آسیب پذیر هستید؟ 


سده‌ترین راه برای تشخیص این آسیب پذیری» بررسی این موضوع است که آبا 
پیونده‌ه ا و فرم‌های موجود در وبگاه دارای یک نشان‌واره غیرقابل پیش‌بینی ‏ 
برای هر کاربر هست. بدون استفاده از نشان‌واره غیرقابل پیش‌بینی » مهاجمان 
می‌توانند درخواست‌های جعلی ارسال کنند به ویژه فرم‌ها 9 پیونده‌هایی که توابع 
تغییر حالت" را فراخوانی می کنند. بیش‌تر مقصد حملات 058۴ هستند. 

حتی لازم است که تراکنش‌های چند مرحله ای نیز کنترل شود زیرا ذاتا از 
سطح امنیتی پائین تری برخوردار هستند. مهاجمان می توانند به راحتی مجموعه 
ای از درخواست‌های جعلی را با استفاده از برچسب‌های مختلف و يا احتمالا جاوا 
اسکریپت ارسال کنند. 

ابزار ۰16516 0۴۲ 0۷۷۵۵۴۵ می‌تواند برای نشان دادن خطرات ناشی از 
آسیب پذبری طص؟ کمک کند 


برای جلوگیری چه باید کرد؟ 

برای جلوگیری از مخاطرات ناشی از 1 نیازمند استفاده از نشان‌واره‌های 
غیر قابل پیش بینی به عنوان بخشی از هر تراکنش هستیم. این نشان‌واره‌ها باید 
حداقل به ازای هر نشست کاربر یا هر در خواست. یکتا باشند. 

۱. یک گزینه مناسب. استفاده از نشان‌واره منحصر به فرد در فیلدهای ینهان 
و نه به عنوان بخشی از بل ارسال شوند. 

5 نشان‌واره‌های منحصر به فرد می توانند در خود بل با متغیرهای رف قرار 
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دبیر خانةٌ شورای عالی اطلاع‌رسانی 


۳۵ 
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آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


گیرند. با این حال در اين روش خطر کشف نشان‌واره مخفی توسط مهاجم وجود 
دارد. 

0 051۲ 0۷۷۸۹۴ ابزاری است که از آن می توان جهت قرار دادن 
خود کار نشان‌واره‌ها در برنامه‌های ۳۲۲۳ ۳۲,0۲ .7۳ 2۷72[ استفاده کرد. 

۲ نیز دارای تولید کننده و اعتبار بخش نشان‌واره است 
که از آن برنامه نوبسان برای حفاظت از تراکنش‌های برنامه‌های خود می توانند 
استفاده کنند. 
مثال از سناریوی حمله: 

برنامه به یک کاربر اجازه میدهد که یک در خواست تغییر حالت که شامل 
هیچ محتوای محرمانه ای نیست. ارسال کند: 


0 ۱ ربا ممرج 7 و ما عمج / موه 0۵ ع۱ رصق ۵ //:۸0ظ 
۸0003 


حساب خودش می‌شود و این درخواست خود را در یک درخواست تصویر در 
وبگاه دیگر تحت کنترل خود جاسازی می کند. 


7 مه ۰۳۲۵۵۰۸/۵ عم تومدرر> 
۲000۲ 102110) 50060169 ام 2 
</ "6120120 ۱7۷100۳ 


اگر کاربر قربانی در وبگاه 62211016.0011 ورود کند و هویت سنجی آن با 
موفقیت انجام پذیرد و سپس هر یک از این وبگاه های تحت کنترل مهاجم را 
بازدید کند. درخواست جعلی قبلا ایچاد شده شامل اطلاعات نشست کاربر اجرا 
هی بو3: 
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۳۸ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


2-۸76 
پیکر بندی نادرست امنیت ! 


آیا آسیب پذیر هستید؟ 
آیا امن سازی مناسب در تمام سطوح مورد نیاز اجرای برنامه کاربردی از زیرساخت 
گرفته تا کد برنامه انجام شده است. 

۱ آیا فرایند مدون و اجرایی مناسب جهت اعمال آخرین وصله‌های " امنیتی 
بر روی تمام نرم افزارهای سازمان خود شامل ۹6۳۷7۵۲,1(/۷5 ۷۷۵/۸0۵ ,0۵5 
9 دارید؟ 

5 آبا هر مورد غیر ضروری مانند در گاه‌هاء خدمات. صفحات و حساب‌های 
کاربری غیر ضروری حذف يا غیر فعال شده است؟ 

۲ آبا گذرواژه‌های پیش فرض تغییر داده شده و ۳ غیر فعال شده است ؟ 

۴ ایا تمام تنظیمات امنیتی به درستی پیکربندی شده است؟ 

۵. آبا همه رایانه‌های خدمات‌دهنده توسط سپرواره(فایروال) حفاظت می‌شود؟ 

فرآیندی مداوم برای ایجاد و نگه‌داری پیکربندی مناسب امنیتی مورد نیاز 


برای جلوگیری چه باید کرد؟ 

توصیه‌های اولیه شامل موارد زیر می‌شود: 
پیکربندی شود. این فرآیند باید جهت به حداقل رساندن اقدامات مورد نیاز برای 
ایجاد مکان امن به صورت خودکار صورت پذیرد. 

۲ تعربف فرایند تکرارپذیر جهت حصول اطمینان از اعمال وصله‌های جدید 
نرم افزارهای مختلف در کوتاه‌ترین زمان ممکن و بر روی همه محیط‌های 
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آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۲ طراحی و پیاده سازی معماری امن شبکه که امنیت مناسبی را در بین 
اجزاء مختلف ایجاد می‌کند. 


مثال از سناریوی حمله: 

سناریوی اول: آسیب پذیری ۲۳1-۵ در رایانه‌ی خدمات‌دهنده‌ی برنامه 
شناسایی می شود و وصله مربوطه جهت برطرف کردن آسیب پذیری مورد نظر 
منتشر می شود ولی آن را بر روی برنامه اعمال نمی کنید. مهاجم با مهندسی 
معکوس بر روی وصله منتشر شده به سیب پذیری پی برده و با پویش گری 
شیکه رایانههای خنات ممدمی فاقد وله مربوطه | شتاسای و لد را اساء 
می دهد. 

سنارپوی دوم: کنسول مدیریت به طور خودکار نصب شده و هنوز غیر فعال 
نشده است و حساب‌های کاربری پیش فرض هنوز تغییر نکرده است. مهاجم 
صفعات دارم مصی گام بریوعو‌ااههی ماه مه کف کزفر وا 
گذرواژه پیش فرض وارد شده و رایانه‌های خدمات‌دهنده را در اختیار می‌گیرد. 

سناریوی سوم: فهرست کردن دایرکتوری" بر روی رایانه‌های خدمات‌دهنده 
غبد فعال نفده است: واه با قیوشت کرفن دار کوخ هام اند بهساکگی 
به تمام فایل‌های رایانه‌های خدمات‌دهنده از جمله کلاس‌های ترجمه شده جاوا 
و در نتیجه کد برنامه دسترسی پیدا کند. 
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۳۲ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


ی 
شکست در محدودسازی دسترسی به بل[ 


بیترین راه برای کشتحف این آسیب پذیری بررسی تمام صفحات است . در نظر 
داشته باشید که آیا صفحه مورد بررسی قرار بوده از نوع عمومی است يا خصوصی 

. آیا برای دسترسی به این صفحه اصالت‌سنجی‌مورد نیاز است؟ 

5 قرار است که این صفحه برای تمام کاربران اصالت سنجی‌شده در دسترس 
باشد؟ اگر خین آپا یک کنترل دسترسی برای اطمینان از اجازه دسترسی هر 
کاربر به این صفحه در نظر گرفته شده است؟ 
اعتبارسنجی را برای هر صفحه فراهم می‌کنند. توجه داشته باشید که تنظیمات 
آن‌ها برای هر صفحه مناسب باشد. اگر محافظت در سطح کد برنامه مورد استفاده 
باشد. 


برای جلوگیری چه باید کرد؟ 
برای جلوگیری از دسترسی به للاهای غیر مجاز, نیازمند انتخاب روش مناسبی 
برای تعیین اصالت‌سنجی‌و مجوز دسترسی مناسب برای هر صفحه هستیم. اغلب. 
چنین کنترل‌هاتی توسط یک یا چند مولفه خارج از کد برنامه فراهم می‌شود. 
صرف نظر از این روش‌ها» توصیه می شود که: 
تلاش‌ها برای رعایت این خطمشی‌ها به حداقل رسانده شود. 

۲ خطمشی‌ها باید از انعطاف پذیری لازم جهت تغییرات احتمالی برخوردار 
باشد و جنبه‌های ثابت خطمشی‌ها باید به حداقل ممکن برسد. 
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دبیرخانةٌ شورای عالی اطلاع‌رسانی 


۳۳ 


۴۴ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۴ کنترل‌های اجرائی باید به طور پیش فرض از همه دسترسی‌ها جلوگیری 
کنند به جز آن‌ها که مجاز به دسترسی هستند. 


مثال از سناریوی حمله: 


مهاجم به راحتی بل مقصد را در مرورگر تایپ می کند. قرار بوده اتسنت 
که دسترسی به نشانی‌های زیر نیازمند اصالت‌سنجی 9 علاوه بر این دسترسی به 
نشانی دوم نیازمند دارا بودن حساب کاربری مدیر وبگاه باشد. 


200/2۵20 /001۳0:. 20016 ۵// :ما 
0ص مهامع_صتصصله/و20 ص60 :عم صصه۵//:مااظ 


اگر مهاجم اصالت‌سنجی نشود و به هر دو صفحه دسترسی پیدا کند. پس 
دسترسی غیر مجاز به این صفحات اجازه داده شده است. همچنین اگر کاربری 
غیر از مدیر وبگاه به صفحه 86/20۳01160 2011011 دسترسی داشته باشد. این هم 
نشان گر وجود این آسیب پذیری است. 

این آسیب پذیری‌ها زمانی شکل می گیرند که برنامه نویس سعی می 
کند پیونده‌ها و دکمه‌های مربوط به صفحاتی که قرار است حفاظت شوند از 
دید کاربران غیر مجاز پنهان باشد اما روش مناسب اصالت‌سنجی‌مناسب برای 
دسترسی به آن صفحه انجام نمی‌شود. 


۴۵ 
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۴۶ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۸28 


آپا آسیب پذیر هستید؟ 

۱. کد برنامه را با هدف پیدا کردن تمام تغییر مسیرها" به نشانی‌های بیرونی 
و هدایت" به صفحات داخلی («در .۸1 انتقال" نامیده می شود) مورد بازبینی 
قرار دهید. در صورت پیدا کردن مواردی از آن در دست بررسی کنید که ایا 
,8 مقصد دارای متغیر است يا خیر؟ اگر جواب مثبت بود بررسی کنید که آیا 
اعتبارسنجی لازم جهت قرارگرفتن صرفا نشانی‌های مقصد مجاز در مقدار متغیر 
صورت می پذیرد؟ 

۲ وبگاه را بررسی کنید که آیا هیچ گونه تغییر مسیری تولید می کند یا خیر 
(کتتهای باس فسماره ۷ موی ۷9 ۱۳۰۲ 1۱۱۲۳) مش ها نموه 
در این تغییر مسیرها را مورد بررسی قرار دهید که ایا شامل یک نشانی ,031 
مقصد يا بخشی از آن است. اگر این چنین است. نشانی بآ*7] مقصد را تغییر داده 
و بررسی کنید که آیا به مقصد جدید هدایت خواهید شد؟ 

۳ اگر کد برنامه در دسترس نیست. تمامی متغیرها را بررسی کنید که آیا 
مشابه نشانی‌های بل[ تغییر مسیر و هدایت هستند؟ 


برای جلوگیری چه باید کرد؟ 

استفاده امن از تغییر مسیرها و انتقال می‌تواند با روش‌های زیر انجام گیرد: 

۱. از به کارگیری تغییر مسیرها به نشانی‌های دیگر و انتقال به دیگر صفحات 
خودداری کنید. 

۲ اگر مجبور به استفاده هستید. از متغیر سمت کاربر برای تعیین مقصد استفاده 
۳ برنامه‌هامی توانند از 25۸1 برای حل کردن مشکل متد 56۳01601۳7606 
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دبیر خانةٌ شورای عالی اطلاع‌رسانی 


۳۷ 


۴۸ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


افاقه کین ۶ اطمتان حاضا گفایته همه سقاصه یی تفا اب استه. 


پیشنهاد می شود که متغیرهای بیان گر مقصد از نوع مقادیر نگاشت شده و نه 
نشانی واقعی بل[ باشند تا کد برنامه سمت رایانه‌ی خدمات‌دهنده ترجمه مقدار 


نگاشت شده را به نشانی مقصد انجام دهد. 


مثال از سناریوی حمله: 
سناریوی اول: برنامه صفحه ای با نام 1601160150 دارد که یک متغیر ساده به نام 


« می‌گیرد. مهاجم یک نشانی 1/8 مخرب را در مقدار این متغیر قرار می 
دهد و کاربر را به سمت یک وبگاه مخرب که منجر به نصب نرم افزارهای مخرب 


1۱۲1۵:۱۱۷۳ ۰02۵11016 :00100/۲۵0۲۵0 [39 


سناریوی دوم: برنامه از هدایست جهت جابجایی بین بخش‌ه ای مختلف وبگاه 
استفاده می‌کند. در این گونه موارد مهاجمان در بخش متغیر هدایت. بل صفحه 
ای را درج می کنند که دسترسی به عملیات مدیریت وبگاه داشته و در حالت 


مرول 2۱۶۷۲0۵ م5 مره ما مه م1 مره ۱۲۲۸۵۰۱/۱۱ 
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۵۰ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۸29 
ذخیر ه‌سازی رمزنگاشتی ناامن ! 


آیا آسیب پذیر هستید؟ 
اولیین چیزی که باید تعیین کنید. این است که چه داده‌هائی به اندازه کافی 
حساس هستند که نیاز به رمزگذاری داشته باشند. برخی از داده‌های حساس که 
نیازمند رمزگذاری هستند عبارتند از: گذرواژه‌هاء اطلاعات کارت‌های اعتباری. 
سوابق بهداشتی و .... 

۱. همه داده‌های حساس خصوصا در محل‌هایی که به صورت طولانی مدت 
نگه‌داری می‌شوند. مانند نسخه پشتیبان داده‌ها باید رمزگذاری شوند. 

۲ تنها کاربران مجاز می توانند به نسخه‌های رمزگشایی شده از داده‌ها 
دسترسی داشته باشند. 

۳ الگوریتم رمزنگاری قوی و استاندارد مورد استفاده قرار گیرد. 

۴ کلیدهای قوی ایجاد شود و از دسترسی غیر مجاز حفاظت شده و همواره 
ظلی یک سیاست مناسپ کلید‌ها تغبیر پید| کند: 
برای اطلاعات بیش‌تر به ارت 0۲ 16011۳6۳01615 ۸6۷5 رجوع شود. 


برای جلوگیری چه باید کرد؟ 

۱ تهدیدهای وارد بر داده‌ها باید مورد توجه قرار گیرد تا اطمینان حاصل شود 
که رمزگذاری داده‌ها به صورتی انجام پذیرد که در مقابل این تهدیدها اثربخش باشد. 

۲ مطمئن شوید که اطلاعات پشتیبان رمزنگاری شده است. کلیدها نیز باید 
جداگانه مدیریت و از آن‌ها نسخه پشتیبان تهیه شود. 

۲ اطفیفا صاخ کفیف که از الگی‌ریم‌های اسب قوع رو استانداری با یک 
مدیریت مناسب استفاده می‌شود. 

۴ مطمقم فسوی که گقرواژه‌ها با انگوریتع گوی و استاندارد رت گذازی فده 
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آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۵ اطسیتان حاصل کنین که تمام کلید‌ها و گفرواژه‌ها و عسترسی‌های غیر 
ماه ماف ات ی قرف 


مثال از سناریوی حمله: 

سناریوی اول: در یک برنام4. اطلاعات کارت‌های اعتباری در پایگاه داده 
رمزگذاری می‌شود. با این حال پایگاه داده به گونه ای تنظیم شده است که به 
طور خود کار پرسمان‌های وارد بر ستون اطلاعات کارت‌های اعتباری را رمزگشاتی 
می کند. وجود یک آسیب پذیری تزریق در :90. اجازه بازیابی تمام اطلاعات 
مربوط به کارت‌های اعتباری رمزگشایی شده را می‌دهد. (سامانه باید به گونه 
ای تنظیم شود که تنها به برنامه‌های پسین(0 ۲206) اجازه رمزگشائی دهد. نه 
برنامه‌های پیشین(10 ۳081) 

سناریوی دوم: یک نسخه پشتیبان از رکوردهای رمزگذاری شده تشکیل 
شده است. اما کلید رمزگذاری نیز در همان نسخه پشتیبان قرار دارد. 

سناریوی سوم: بانک اطلاعاتی گذرواژه‌ها از رمزگذاری ناپرورده" برای ذخیره 
گذرواژه‌های هر کاربر استفاده می کند که در مدت زمان ۴ هفته می تواند ضعیف 
شود ولی رم زگذاری پیرورده ممکن اننت بالای ۳۰۰ سال طول بکشد. 
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۵۳ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۸10 
حفاظت غب رکافی از لابه‌ی ترایر ۵ 


آیا آسیب پذیر هستید؟ 


بهترین راه برای فهمیدن این موضوع که آیا حفاظت مناسب از لایه انتقال" صورت 
می‌گیرد» بررسی موارد زبر است: 

۱. [ برای تمام منابع و بر روی تمام صفحات و خدمات خصوصی استفاده می 
شود. این کار از تمام داده‌ها و مجوزهای اصالت‌سنجی که رد و بدل می‌شوند. حفاظت 
می‌کند. از ترکیب بآ99ها در یک صفحه نباید استفاده کرد زیرا باعث اعلام هشدار در 
مرور گر کاربر شده و امکان افشای شناسه نشست کاربران وجود دارد. 

۲ فقط از الگوریتم‌های قوی استفاده شود. 

۳. فیلد مربوط به امنیت همه ردنماهای نشست باید تنظیم شود تا مرورگر هیچ 
گاه آن‌ها را به صورت رمزگذاری نشده ارسال نکند. 

۴ گواهی رایانه‌ی خدمات دهنده باید معتبر و دارای تنظیمات مناسب باشد. 
گواهی باید توسط صادر کننده معتبر ارائه شده باشد» منقضی و لغو نشده باشد و تمام 
دامنه‌های مرتبط با وبگاه مورد نظر را در بر بگیرد. 


برای جلوگیری چه باید کرد؟ 
خقاعلی متاسسب از لابه اتتقال داده می کوانت طراخی وراه را متائز کنر روش شساهه 
استفاده از لد برای کل وبگاه است. به دلایلی نظیر بالا بردن کارایی وبگاه ۰ برخی 
استفاده می کنند که این موضوع ممکن است موجب افشای شناسه نشست و دیگر 
۱ استفاده از رل برای تمام صفحات حساس الزامی شود. درخواست‌های غیر ۵٩[,‏ 
باید به صفحات 5٩1,‏ هدایت شود. 
۲ یلد مریوط به اسیت وهای تفست حسانی تایه ین شوخ 


1. ۱6۷۲۲۱۵1601 ۲۲2۲۱۹۵0۲۲ ۲2۷۲ ۵ ("۲ 


وه عنم 
و کت بر 
من من بت 


۳ 

گرد 1 اشرنیدحت 
کر ۵و مسق 
۶ کب کیق ‏ 
یف او کی 
1۳ 
و6 رات ۳۰ 6 صی‌سم 
سک سس ور او 
چم حور صبوّدٌ 


لو یرو دوه 
هم مس عو وب سو موی ۳۶95( 
199۱۳ / 11و کا جنک 
۵ ۶ او زک عبر کم مجوصهه 
4 موه رای وی ری یواوه 


تک حک اد کرت 
0ج پسیس > که که 
و ار ۲-۰ ۱۳۲۰ 
و ۳۶ 9و 
ضخ سببیم کی سپ (گو 
٩‏ ۳۶۶و 
سک ترسح 
هر 6 > و 
ریم 6 1 12و 
یسم وستی» 
بشکیاه رنه سح وج 


و ۲ کچ م6 6۲ 
ریاد ردو ۱ب 
ونر وس اه 
۵ و وی( 
وحم ۳۲۲۲ 
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2۶ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


۳ 991/118 خود را به گونه ای تنظیم کنید که از الگوریتم‌های منطبق با ۳1۳5 
۲-۰ پشتیبانی کند. 

۴ مطمتن شوید که گواهی‌نامه شما معتبر است. منقضی و لغو نشده است. و تمام 
دامنه‌های مرتبط با وبگاه شما را در بر میگیرد. 


مثال از سناریوی حمله: 

سناریوی اول: وبگاه برای تمام صفحاتی که به احراز هویت احتیاج دارد» از ب ٩‏ 
اساده کی کیش ال عوانسم مب خی باه کی ربا بای ۶ اقدی که 
(مانند مودم بی‌سیم همسایه) » ردنما نشست یک کاربر قربانی احراز هویت شده را 
مشاهده کند. سپس مهاجم می تواند از ردنما استفاده کرده و نشسست کاربر را در 
اختیار گیرد. 

ستارپوی دوم: ویگاه از لک8 با تتظیمات تامتاسب استفاده می کند که باعت 
نمایش هشدار در مرورگر کاربران می شود. کاربران مجبور به قبول هشدارها برای 
ادامه کار هستند. که این باعث می‌شود که کاربر به دیدن برخی هشدارها عادت داشته 
باشد. حمله تورگذاری که منجر به هدایت کاربر به وبگاه نامطمئن مشابه‌ای می 
شود در مرورگر هشدارهای مشابهی می‌دهد. از آن جائی که کاربران به دیدن این 
پیغام‌ها و هشدارها عادت دارند. آن‌ها به کار خود ادامه می‌دهند و در واقع از وبگاه 
تکار انتفادهمی کته گفریاوه با سای اطازغات حصوصن وم را در اختیار 
مهاجم قرار می‌دهند. 


2۷ 
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0۷۷۸۵۵۳۲ 
۰0۱۷۷/۸8۳ ۲۲20500۳۲ ۱۲2۷۵۲ ۳۴۵1۵۵100 0۳۱621 ۷ 


۵ ۱08661۱۲6 00 10-2007 ۲99 ۰۵۱/۷۸۵۵۳ 
۲۷۵0۵۷ 0۳ 0۱2۵/6۲ :06 آبا6 ۲۱6۷۵۱0۵۴۱۵۳۴ ۰۵۱/۷۸۵8۵ 
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00 0۲۷۵109۲20۱۱۱۶ 140-2 ۳۱۳5 ۵۲ وواانواآهن۱۲ا* 
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گام بعدی برای برنامه نوبسان چیست؟ 
چنانجه با امنیت برنامه‌های کاربردی آشنائی چندانی نداشته باشید و يا این 
که با مخاطرات موجود در این زمینه بسیار آشنا باشید. باید بدانید که تولید 
برنامه‌های جدید امن و همچنین امن سازی برنامه‌های موجود کار سختی است. 
اگر باید تعداد زیادی برنامه کاربردی را مدیریت کنید این کار پیجیده تر نیز 
خواهد شد. ۷۷۵۵۲ برای کمک به سازمان‌ها و برنامه نویسان. جهت کاهش 
مخاطرات موجود در زمینه امنیت برنامه‌های کاربردی با یک روش مقرون به 
صرفه» تعدادی ابزار رایگان و متن باز را تولید کرده است که می توان برای تامین 
امنیت برنامه‌های کاربردی در سازمان‌ها از آن‌ها استفاده کرد. 

مواردی که در ادامه آورده شده. بخشی از منابع ۷۷۸۹۳ برای سازمان‌ها 
جهت تامین امنیت در زمینه برنامه‌های کاربردی است. 


۶. 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


منابع متنوع تری در این زمینه در وبگاه 0۷۷۸۵۳ برای استفاده عموم قابل 


گام بعدی برای ارزیاب‌ها چیست؟ 
به منظور بررسی امنیت برنامه تحت وب که پدیدآورده‌اید يا قصد خرید آن را 
دارید. 0۷۷۸۵۳ پیشنهاد می کند که در صورت امکان کد برنامه مورد بازبینی و 
برنامه مورد آزمون قرار گیرد. بهترین پیشنهاد انجام ترکیبی از روش‌های بازبینی 
کد برنامه و آزمون نفوذ است زیرا این کار اجازه می‌دهد از مزیت‌های هر دو روش 
به عنوان روش‌های مکمل یکدیگر بهره ببرید. ابزارهای موجود می تواند بهره‌وری 
و اثربخشی تحلیلگر را افزایش دهد. ایزارهای ارزیابی 0۷۷۸5۳ به جای تمرکز بر 
روی خودکار کردن فرایند ارزیابی» به تحلیلگر کمک می‌کند تا موثرتر و با قدرت 
تحلیل بیش‌تر عمل کند. 

استانداردسازی روش ارزیابی امنیت برنامه‌های کاربردی تحت وب: برای کمک 
به سازمان‌ها جهت افزايش انسجام و دقت هنگامی که امنیت برنامه‌ها را ارزیابی 
می‌کنند. 0۷۷۵۸۹۳ استاندارد (۸6۷5 ۲4فصهاگ حمتلهه‌تانه۷ «اتسععی صمتامء‌ناممر۸ 
را تهیه کرده است. در این سند حداقل استاندارد ارزیابی جهت ارزیابی امنیت 
برنامه‌های کاربردی تحت وب تعریف شده است. 0۷۷۸5۲ پیشنهاد می کند که 
زاين سند تنها به عنوان راهنما هنگام ارزیابی امنیت استفاده نشود. بلکه برای 
یافتن روش‌های مناسب و یافتن سطحی از دقت که برای ارزیابی امنیت مورد نیاز 
ست. می‌توانید استفاده کنید. همچنین می‌توانید برای انتخاب ارائه کننده این 
گونه خدمات نیز از این راهنما استفاده کنید. (برای انتخاب بین شرکت‌هایی که 
ین خدمات را به شما پیشنهاد می‌دهند.) 

مجموعه ابزارهای ارزیابسی: ۳:(6۵۱ 0۲ 1:۲6 0۷۷۸۵۵۲ برخی از بهترین 
بزارهای متن باز امنیت را در یک‌جا جمع‌آوری کرده اسست. برنامه‌نویسان وب؛ 


۶۱ 


دبیر خانة شورای عالی اطلاع‌رسانی 


آزمایش کنندگان و متخصصان امنیتی می توانند از این ابزارها در قالب یک 
1 استفاده کنند. هیچ یک از اين ابزارها به نصب يا تنظیمات خاصی نیاز 


ندارند. 


بازبیتی, کذها: 

۲ راهنمای 00106 116۷716۷ 0006 2۷۷۸۵۲ را برای کمک به متخصصان 
امنیت و برنامه نویسان انتشار داده است تا آن‌ها را با چگونگی بازبینی کد یک 
مانند تزریق از طریق بازبینی کد نسبت به دیگر روش‌ها ساده تر تشخیص داده 
می‌شوند. 


ابزارهای بازبینی کد: 

۲ فعالیت‌های امیدوارکننده ای در زمینه تجزیه و تحلیل کدها انجام داده 
9 ابزارهاتی ر تولید کرده اننیته اما این ابزارها هنور در مراحل اولیه خود هستند 9 
ممکن است کارشناسان غیرحرفه‌ای در کارکردن با اين ابزارها با مشکلاتی مواجه 
باشند. این ابزارها شامل 02 200 ,0117011 ,00602۷16۲ هستند. 


آزمون نفوذ: 
آزمون نفوذ برنامه‌ها: ۷۷۸۵۲( یک راهنمای آزمون برای راهنمائی و کمک به 
برنامه نویسان» آزمایش کنندگان برنامه‌ها و متخصصان امنیت نرم افزار تهیه کرده 
است تا به آن‌ها آموزش دهد که چگونه به طور موفر و کاراء امنیت برنامه‌های 
کاربردی تحت وب را بررسی کنند. این راهنما سرفصل‌های مختلفی درباره 
بررسی امنیت برنامه‌ها را شامل می‌شود. بسیار مهم است که بتوانید غیرامن بودن 
کشا با مال ای یت که تین مسا یپ ار یره 
دارد که ناشی از زیرساخت‌های نرم افزاری است. که این موارد به راحتی و تنها با 
بازییتین. کلهاء متصص: تم شولن: ۱ 

ابزار آزمون نفوذ برنامه‌ها: 50212 ۷۷۵۲ که ابزار آزمون برنامه‌های کاربردی 
تحت وب است به تحلیلگر امنیتی اجازه رهگیری درخواست‌ها را می‌دهد و 
تحلیلگر می‌تواند از چگونگی کار برنامه‌ها مطلع شود. سپس درخواست‌های 
آزمونی را برای فهمیدن این موضوع که آیا برنامه از امنیت مناسبی در مقابل 
برخی درخواست‌ها. برخوردار هست يا خیر, ارسال کند. اين ابزار در زمینه 


۶۲ 


آشنایی با بالاترین مخاطرات امنیتی وبگاه‌ها 


نکاتی در مورد مخاطرات: 


اگرچه نسخه‌های قبلی این گزارش بر «آسیب‌پذیری‌ها» تمرکز داشته است. اما 
قر هقی تس کر اصلی بوسف سخاط اف امه آنق تسه سخاط آتام. 
ده دسته مهم معرفی شده ند و نشان داده می‌شود که چگونه ترکیب مهاجم. 
بردارهای حمله. آسیب پذیری اثرات فنی و تجاری و... باعث ایجاد مخاطرات 
9 

در این رابطه روشی برای رتبه‌بندی مخاطرات به نام 
۱۷۱۵۱1۵0010 1۵110 1 ۷۷۵۸۵۴ تهیه شده است. که برای هر ده مورد 
تتحاط خفن تاش سفاه هلوقم خ اس شاخنی سفال زسالیه 
شده و اولویت بندی شده است. 

0102 121118 151916 ۷۷۸۵۵۲ متغیرهای مهم را جهت محاسبه 
متخاط ات با کته به اسیب‌های اغله دی مخکص ی کید اما هرک بافقی 
که بک شهار مب اند مخاظ ات تامهای ضوف را سای کنته تور نفیه 
است. زیرا فقط مدیران یک سازمان هستند که از اهمیت برنامه‌ها و اطلاعات 
خظ رها ماه شگونکی ساففاه کی لاله و تحوع عماکی و آن‌ا بظاه 

این روش شامل سه پارامتر احتمال برای هر آسیب پذیری (شیوع. قابلیت 
تشخیص و سادگی نفوذ) و یک پارامتر اثر (شدت اثر فنی) است. شیوع یک آسیب 
پذیری عاملی است که نیاز به محاسبه توسط شما ندارد. برای محاسبه عامل شیوع. 
آمارهای مربوطه از سازمان‌های مختلف جمع آوری شده و میانگین آن‌ها به عنوان 
احتمال در فهرست قرار می‌گیرد. سپس این داده ء با مقادیر احتمال دو عامل دیگر 
یعنی قابلیت تشسخیص و سادگی نفوذ ترکیب شده و با حاصلضرب نهایی در عامل 
شدت اثر فنی شاخص نهایی مخاطره محاسبه می شود. 

توجه کنید که در این روش احتمال مهاجم و جزئیات فنضی برنامه‌های 
کاربردی مختلف مورد توجه قرار نگرفته است. هر کدام از اين عوامل می توانند 
میزان کلی احتمال نفوذ موفق را متاثر کنند. این روش همچنین میزان تاثیر نفوذ 
را بر روی کسب و کار شما لحاظ نمی کند. به عبارتی هدف 10 0۷۸۹۳۲0۳ 
ارزیابی مخاطرات کلان و نه مخصوص برای سازمان خاص بوده است. 

در زیر محاسبات انضام گرفته برای مخاطره (688 ۸2 به خنوان مقال فقنازن 


داده شده است: 


۳/۶ 
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